Anthropic laisse les entreprises garder leurs données

Anthropic a imposé une conservation de 30 jours pour détecter les cyberattaques

Depuis juin 2026, Anthropic exige 30 jours de conservation pour certaines données d'utilisateurs et d'entreprises générées sur ses modèles les plus performants, un changement par rapport à la période plus courte à laquelle la plupart des clients étaient habitués. L'objectif affiché est précis: détecter les cyberattaques qui utilisent Claude, pas une collecte générale de données. Anthropic et d'autres laboratoires d'IA de pointe ont documenté des cas où leurs modèles ont été utilisés au sein de campagnes d'attaque autonomes ou semi-autonomes, allant de la reconnaissance à la génération de code d'exploitation, en passant par des étapes de coordination qui exigeaient autrefois un opérateur humain à chaque étape. Une fenêtre glissante de 30 jours donne aux équipes de sécurité d'Anthropic assez d'historique pour repérer un schéma sur plusieurs sessions qu'une seule interaction ne révélerait jamais, puis pour agir avant qu'une campagne d'attaque ne s'achève. C'est l'arbitrage au coeur de cette histoire: une meilleure détection des attaques, en échange d'une fenêtre plus longue pendant laquelle les données d'entreprise se trouvent hors du contrôle direct du client.

Plus de 100 clients d'entreprise ont protesté, Salesforce parmi eux

La fenêtre de conservation obligatoire n'a pas plu aux plus grands clients d'Anthropic, et plus de 100 comptes d'entreprise ont soulevé des objections, Salesforce étant nommément cité parmi eux. Leur préoccupation n'était pas les 30 jours en tant que mesure de sécurité; c'était la perte de contrôle sur l'endroit où ces données résidaient physiquement une fois sorties de leurs propres systèmes et hébergées sur l'infrastructure d'Anthropic pendant la période imposée. Pour une entreprise dont le siège est dans l'UE, ou toute société traitant des données personnelles européennes sous le RGPD, ce n'est pas une inquiétude abstraite. Les équipes de protection des données doivent pouvoir dire, concrètement, dans quelle juridiction se trouve un jeu de données donné, qui peut y accéder et sur quelle base juridique, et une fenêtre de conservation de 30 jours détenue par le fournisseur, sur des serveurs situés hors du cloud propre du client, complique chacune de ces réponses. Les équipes achats et juridiques des entreprises ont insisté sur ce point avec assez de force et assez longtemps pour que cela devienne un problème de conception qu'Anthropic a dû résoudre, plutôt qu'une plainte à gérer.

Anthropic construit un moyen de garder ces données sur le cloud propre du client

Bloomberg a rapporté le 20 août 2026 qu'Anthropic construit désormais un système qui permettrait aux clients d'entreprise de garder leurs données conservées obligatoirement pendant 30 jours sur leur propre infrastructure cloud, plutôt que sur des serveurs exploités par Anthropic. PYMNTS, MarketScreener et itnews.com.au ont depuis repris ou corroboré le rapport de Bloomberg, et Anthropic coordonnerait directement, d'après les informations disponibles, avec les plus de 100 clients concernés, Salesforce inclus, sur la façon dont le système devrait fonctionner. Au moment d'écrire ces lignes, la salle de presse d'Anthropic n'a rien publié sur ce changement; le dernier billet sur anthropic.com/news, daté du 14 août 2026, traite d'un sujet distinct, le filigrane textuel de Claude. C'est pour l'instant un terrain d'informations rapportées, pas une annonce du fournisseur, et le déploiement est attendu plus tard en 2026.

La distinction dans ce tableau compte plus qu'il n'y paraît: l'obligation elle-même n'a pas changé, seul l'endroit où les données qui en résultent peuvent se trouver a changé, et la section suivante explique pourquoi cette différence est l'essentiel du sujet.

Transférer la garde n'équivaut pas à sortir de la règle

Il serait facile de lire cela comme un recul discret d'Anthropic sur la conservation, mais ce n'est pas ce qui est en train d'être construit. L'obligation de conservation de 30 jours existe parce que la fonction de sécurité a besoin d'une fenêtre d'historique pour repérer des schémas d'attaque, et rien dans la conception rapportée ne supprime cette fenêtre ni cette fonction. Ce qui change, c'est la garde: les données continuent d'être conservées dans le même but, selon le même calendrier, mais sur une infrastructure contrôlée par le client d'entreprise plutôt que sur les propres serveurs d'Anthropic. Anthropic a toujours besoin d'assez de visibilité sur ces données conservées pour exécuter sa détection des cyberattaques, ce qui rapproche cela d'un modèle de responsabilité partagée, dans l'esprit de la façon dont les fournisseurs de cloud répartissent les tâches de sécurité avec leurs clients, plutôt que d'une véritable sortie. Pour une entreprise de l'UE qui évalue cela, le cadrage honnête est le suivant: les données restent soumises à la conservation obligatoire dans tous les cas, et ce qui est gagné, c'est la juridiction et la garde physique, pas une exemption de la politique de sécurité elle-même.

Ce qu'une entreprise européenne encore hésitante sur Anthropic devrait faire maintenant

Pour un dirigeant d'entreprise de l'UE ou du Royaume-Uni qui se demande aujourd'hui s'il doit adopter les modèles les plus avancés d'Anthropic, la réponse pratique n'est pas de basculer par défaut vers un fournisseur exclusivement européen pour ce seul motif. La résidence des données compte, mais une décision de départ prise aujourd'hui, avant que l'option de garde sur le cloud du client ne soit disponible, écarte une option qui répond directement à l'objection que la plupart des dirigeants ont réellement. L'étape suivante la plus utile consiste à demander à son interlocuteur Anthropic le calendrier concret de déploiement pour sa région et son niveau de contrat, et à obtenir par écrit quelles infrastructures et certifications seront reconnues comme un cloud client éligible une fois la fonctionnalité déployée. Si une entreprise ne peut vraiment tolérer aujourd'hui aucune conservation détenue par le fournisseur, sur aucune infrastructure, il s'agit d'une contrainte réelle sur laquelle agir dès maintenant; mais si l'objection porte précisément sur le fait de ne pas savoir où se trouvent physiquement les données, les plus grands clients d'Anthropic viennent d'obtenir qu'Anthropic construise une réponse directe à cela, et il vaut la peine d'attendre quelques mois pour l'utiliser plutôt que de changer de fournisseur pour un problème déjà en cours de résolution.

À lire ensuite: Cinq Agents de Code IA Rivalisent Désormais Dans Votre Slack  |  Le manager IA qui a licencié un employé humain